IPsec cez privátnu WAN: hranice politík SRX, ktoré treba skontrolovať

Privátna WAN môže prenášať vonkajšie pakety tunela IPsec, takže adresy peeru nemusia byť verejné internetové adresy. Mení sa cesta, ktorou tieto vonkajšie pakety prechádzajú, a oprávnenia na rozhraní, ktoré ich prijíma. Na SRX sú vonkajšia riadiaca cesta, väzba rozhrania tunela a politika odovzdávanej prevádzky tri samostatné objekty. Odstraňovanie poruchy v jednom, kým ďalšie dva sú nesprávne, je obvyklý dôvod, prečo tunel zostáva dole.

Najprv zaznamenajte vonkajšiu cestu IKE

Predtým, ako sa dotknete politiky, zapíšte štyri hodnoty: adresu peeru, miestne rozhranie, ktoré prijíma IKE, kontext smerovania, ktorý sa dostane k peeru, a trasu, ktorá toto rozhranie vyberá. Pakety IKE sú adresované samotnému SRX, takže potrebujú oprávnenie host-inbound v prijímacej zóne, nie politiku odovzdávanej prevádzky. Privátna adresa WAN túto požiadavku neruší, pretože paket stále končí na zariadení.

Skontrolujte nainštalovaný stav pomocou show security ike sa a konfiguráciu pomocou show configuration security ike. Prvá ukazuje, či existuje fáza 1; druhá ukazuje, čo si zariadenie myslí, že by malo robiť.

Priviažte rozhranie tunela k správnej politike

VPN založená na smerovaní viaže rozhranie tunela k objektu VPN a chránené prefixy sa smerujú do tohto rozhrania. Zaznamenajte, ktoré rozhranie, ktorá trasa a ktorá politika povoľuje aplikácie medzi príslušnými zónami. Zóna s názvom trust je kontajner politík a názov nedokazuje, že požadované riadiace alebo dátové pakety sú povolené.

Čítajte skutočné väzby namiesto starej schémy: show configuration security ipsec vpn pre nastavenie väzby na rozhranie a show configuration security policies pre pravidlá, ktoré odkazujú na zónu tunela.

Ak chránená trasa ukazuje inam, tunel môže byť hore, zatiaľ čo prevádzka doň nikdy nevstúpi. Je to problém smerovania v kostýme IPsec.

Držte trasu k peeru na underlay

Trasa k vonkajšiemu peeru sa musí vyriešiť cez underlay, nie rekurzívne cez tunel, ktorý vytvára. Ak trasa k peeru ukazuje na rozhranie tunela, pakety IKE naháňajú svoj vlastný tunel a fáza 1 sa nikdy nedokončí. Spiatočná cesta pre chránenú prevádzku potrebuje vlastnú správnu trasu a politiku a zvyčajne je to chýbajúca polovica, keď jeden smer funguje. Prečítajte si záznam v tabuľke smerovania pre adresu peeru a potvrďte, že odchádzajúce rozhranie je rozhranie WAN.

Skontrolujte to pomocou show route 198.51.100.10, s dosadenou skutočnou adresou peeru, a potvrďte, že ďalší hop nie je rozhranie tunela.

Overte riadenie a službu v poradí

Postupujte nahor: stav fázy 1, stav fázy 2 a potom skutočný tok aplikácie. show security ipsec sa vypisuje bezpečnostné asociácie a show security flow session destination-prefix 10.60.0.0/16 ukazuje, či sa pre chránenú sieť vytvárajú odovzdávané relácie.

Zdravý riadiaci vzťah a funkčná dátová cesta sú dva rôzne výsledky, a úspešná fáza 2 nič nehovorí o tom, či politika aplikáciu povoľuje. Otestujte jeden povolený tok a jeden, ktorý by politika mala odmietnuť, aby bol rozdiel viditeľný.

Zaznamenajte spolu trasu k peeru, oprávnenie host-inbound, väzbu tunela, vnútornú trasu a politiku aplikácie. Týchto päť záznamov ukazuje, ktorá vrstva bude zodpovedná za budúce zlyhanie bez spoliehania sa na označenie portu.